Построение и организация функционирования комплексных систем защиты информации в компьютерных системах.
Системы защиты информации относятся к классу сложных систем и для их построения могут использоваться принципы построения сложных систем с учётом специфики решаемых задач:
| 1) параллельная разработка КС и СЗИ; | 4) иерархическая система управления СЗИ; |
| 2) системный подход к построению защищённых КС; | 5) многоуровневая структура СЗИ; |
| 3) дружный интерфейс защищённых КС с персоналом; | 6) возможность развития СЗИ. |
Первый из приведённых принципов построения СЗИ требует проведения одновременной параллельной разработки КС и механизмов защиты. Только так возможно эффективно обеспечить реализацию всех остальных принципов. Причём в процессе разработки защищённых КС должен соблюдаться разумный компромисс между созданием встроенных неразделимых механизмов защиты и блочных унифицированных средств и процедур защиты. На этапе разработки КС можно полностью учесть взаимное влияние блоков и устройств собственно КС и механизмов защиты, добиться системности защиты оптимальным образом.
Потенциальные угрозы выявляются в процессе создания и исследования модели угроз. В результате исследований должны быть получены данные о возможных угрозах безопасности информации, о степени их опасности и вероятности реализации. При построении СЗИ учитываются потенциальные угрозы, реализация которых может привести к существенному ущербу и вероятность таких событий не является близкой к нулю.
Защита ресурсов КС должна осуществляться на этапах разработки, производства, эксплуатации и модернизации, а также по всей технологической цепочке ввода, обработки, передачи, хранения и выдачи информации. Реализация этих принципов позволяет обеспечить создание СЗИ, в которой отсутствуют слабые звенья на разных жизненных циклах КС и в любых элементах и режимах работы КС.
Механизмы защиты должны быть взаимосвязаны по месту, времени и характеру действия. Комплексность предполагает также использование в оптимальном сочетании разных методов и средств защиты информации: технических, программных, криптографических, организационных и правовых. Система должна иметь несколько уровней, перекрывающих друг друга. Чтобы добраться до закрытой информации, злоумышленнику необходимо взломать все уровни защиты.
Для отдельного объекта КС можно выделить 6 уровней (рубежей) защиты:
| 1) охрана по периметру территории объекта; | 4) защита аппаратных средств; |
| 2) охрана по периметру здания; | 5) защита программных средств; |
| 3) охрана помещения; | 6) защита информации. |
Системы имеют централизованное управление. В распределённых КС управление защитой может осуществляться по иерархическому принципу. Для осуществления централизованного управления в СЗИ должны быть предусмотрены специальные средства дистанционного контроля, распределения Ключей, разграничения доступа, изготовления атрибутов идентификации и другие.
При разработке сложной КС необходимо предусматривать возможность её развития в увеличении числа пользователей и наращивании возможностей сети по мере совершенствования информационных технологий. С этой целью при разработке КС предусматривается определённый запас ресурсов по сравнению с потребностями на момент разработки. Наибольший запас на каналах связи. Резерв ресурсов, предусмотренный на этапе разработки, исчерпывается уже на момент полного ввода в эксплуатацию сложных систем. Поэтому при разработке КС предусматривается возможность модернизации системы. Новые возможности, режимы КС, а также появление новых угроз стимулируют развитие новых механизмов защиты. Важное место в процессе создания открытых систем играют международные стандарты в области взаимодействия устройств, подсистем. Они позволяют использовать подсистемы разных типов, имеющих стандартные интерфейсы взаимодействия.
Комплексная система защиты информации должна быть дружественной по отношению к пользователям и обслуживающему персоналу. Она должна быть max автоматизирована и не должна требовать от пользователя выполнять значительный объём действий, связанных с СЗИ. Комплексная СЗИ не должна создавать ограничений в выполнении пользователем своих функциональных обязанностей.